Die Opferlisten der Ransomware-Gruppen lesen sich im August 2026 wie ein Auszug aus dem Handelsregister: Spritzguss, Tiefbau, Hydraulik, Packsysteme, Softwarehäuser, Marktforschung. Fast im Tagesrhythmus taucht ein weiterer Betrieb aus dem DACH-Raum auf einer Leak-Seite auf. Wer diese Listen liest, sieht allerdings nur die Hälfte der Geschichte. Über das Überleben entscheidet nicht der Angriff, sondern die Frage, wie schnell danach wieder produziert wird.
Dieser Artikel ist ein vertiefender Fachbeitrag aus unserem Content-Cluster. Entdecken Sie die vollständige Übersicht auf unserer Hauptseite:IT-Sicherheit & Compliance →
- Die Welle ist real und breit: Check Point Research verzeichnete für 2025 einen Anstieg der Cyberangriffe im DACH-Raum um 124 Prozent. Die veröffentlichten Opferlisten des Sommers 2026 zeigen fast ausschließlich mittelständische Betriebe aus Industrie, Bau und Dienstleistung.
- Der Schaden entsteht nach dem Angriff: Ein deutscher Textilveredler musste im Sommer 2026 Insolvenz anmelden, nachdem die Produktion nach einem Cyberangriff fast sechs Wochen stillstand. Nicht die Verschlüsselung war tödlich, sondern die Ausfallzeit.
- Wiederanlauf ist Führungsaufgabe: Unveränderliche Backups, ein getesteter Wiederherstellungsablauf, priorisierte Anlaufreihenfolge und eine Kommunikationskette außerhalb der eigenen Systeme — vier Dinge, die vor dem Vorfall entschieden werden müssen.
Die falsche Frage lautet: Kommen sie rein?
Bei genügend Versuchen kommt irgendwann jemand rein. Die Frage, die über Fortbestand oder Insolvenz entscheidet, lautet anders: Wie viele Tage kann Ihr Unternehmen nicht produzieren, bevor es nicht mehr zu retten ist — und wissen Sie diese Zahl?
1. Was die Opferlisten wirklich zeigen
Fachportale führen inzwischen laufend aktualisierte Listen deutscher Unternehmen, die auf den Leak-Seiten von Erpressergruppen auftauchen oder selbst einen Sicherheitsvorfall bestätigt haben. Für den August 2026 stehen dort Betriebe aus Spritzguss, Tiefbau, Hydraulik, Verpackungstechnik, Motorenbau und Softwareentwicklung — dazu mit Statista ein bekannter Datendienstleister, der den Vorfall selbst öffentlich gemacht hat. Die Einträge folgen einander im Abstand von ein bis zwei Tagen.
Drei Beobachtungen sind daran wichtiger als die einzelnen Namen. Erstens: Die Größenordnung der Opfer liegt weit unterhalb dessen, was gemeinhin als lohnendes Ziel gilt. Zweitens: Die Branchenstreuung ist nahezu vollständig; es gibt kein Segment, das statistisch verschont bleibt. Drittens: Dieselben Gruppennamen tauchen immer wieder auf, was auf industrialisierte, arbeitsteilige Strukturen hindeutet statt auf Gelegenheitstäter.
Die quantitative Einordnung liefert Check Point Research: Für 2025 wurde ein Anstieg der Cyberangriffe im DACH-Raum um 124 Prozent verzeichnet, wobei Deutschland die Hauptlast der registrierten Vorfälle trug. Genau diese Zahlenlage war ein Grund dafür, dass der deutsche Gesetzgeber beim NIS2-Umsetzungsgesetz auf eine Übergangsfrist verzichtet hat, obwohl Wirtschaftsverbände sie gefordert hatten.
2. Warum es den Mittelstand trifft
Die verbreitete Annahme, kleine Betriebe seien für Angreifer uninteressant, beruht auf einem veralteten Bild der Täterseite. Sie stammt aus einer Zeit, in der ein Angriff manuelle Arbeit erforderte und sich deshalb nur bei großen Lösegeldsummen rechnete. Dieses Kalkül hat sich durch Ransomware-as-a-Service grundlegend verschoben.
Arbeitsteilung senkt die Einstiegshürde
Eine Gruppe stellt Schadsoftware, Verhandlungsinfrastruktur und Leak-Seite bereit; Partner führen die Angriffe durch und teilen die Erlöse. Wer angreift, braucht damit keine eigene Entwicklungskompetenz mehr. Die Folge ist ein Mengengeschäft, in dem auch fünfstellige Lösegelder attraktiv sind.
Ziele werden nicht ausgesucht, sondern gefunden
Der Einstieg erfolgt in aller Regel über flächig ausgenutzte Schwachstellen in exponierten Systemen oder über gestohlene Zugangsdaten. Wer verwundbar ist, wird gefunden — unabhängig von Branche, Umsatz und Bekanntheit.
Kleine Betriebe zahlen schneller
Ein Mittelständler ohne Notfallplan steht nach 48 Stunden vor der Wahl zwischen Zahlung und Stillstand. Diese Zahlungsbereitschaft ist aus Tätersicht ein Vorteil, nicht ein Nachteil — sie kompensiert die geringere Summe durch eine höhere Abschlussquote.
Der Umweg über die Lieferkette
Ein kleiner Dienstleister mit Fernzugriff auf Kundensysteme ist ein Hebel, kein Randziel. Deshalb steigt der Druck über Sicherheitsanhänge in Rahmenverträgen derzeit so deutlich — wir haben das im Beitrag NIS2 in der Lieferkette beschrieben.
Hinzu kommt die Methode der Double Extortion: Daten werden vor der Verschlüsselung abgezogen, sodass ein sauberes Backup zwar den Betrieb rettet, das Datenleck aber nicht verhindert. Für die Vorbereitung heißt das: Wiederanlauf und Meldepflichten sind zwei getrennte Arbeitsstränge, die parallel laufen müssen.
3. Vom Vorfall zur Insolvenz
Der Fall, der im Sommer 2026 in der DACH-Fachpresse am meisten diskutiert wurde, betrifft einen deutschen Textilveredler: Nach einem Cyberangriff stand die Produktion fast sechs Wochen still, am Ende folgte der Insolvenzantrag. Dieser Verlauf ist deshalb lehrreich, weil er die übliche Erzählung umdreht. Nicht die Verschlüsselung, nicht die Lösegeldforderung und nicht einmal der Datenabfluss waren das existenzielle Ereignis. Es war die Ausfallzeit.
Sechs Wochen ohne Produktion bedeuten in einem Zulieferbetrieb: keine Rechnungsstellung bei laufenden Fixkosten, Vertragsstrafen oder zumindest Abrufverluste bei Kunden, Abwanderung von Aufträgen zu Wettbewerbern und ein Vertrauensschaden, der auch nach dem Wiederanlauf bleibt. Betriebswirtschaftlich ist der Angriff ein Auslöser; die Insolvenz entsteht aus der Kombination von Liquiditätsdecke und Wiederanlaufzeit.
Das sichtbare Ereignis
Verschlüsselung, Lösegeldforderung, Leak-Seite. Es dominiert die Berichterstattung und die interne Aufmerksamkeit in den ersten Tagen.
Tag 0 bis 3Hier entscheidet sich, ob überhaupt ein strukturierter Prozess anläuft — oder Improvisation.
Das teure Ereignis
Stillstand von Produktion, Auftragsabwicklung und Rechnungsstellung bei unveränderten Fixkosten.
Woche 1 bis 6Hier entscheidet sich, ob das Unternehmen den Vorfall wirtschaftlich übersteht.
Daraus folgt eine unbequeme Führungsfrage, die sich vor jedem Vorfall beantworten lässt: Wie viele Wochen Stillstand hält Ihr Unternehmen aus, bevor die Liquidität nicht mehr reicht? Diese Zahl ist der eigentliche Maßstab für alle Investitionen in Wiederanlauffähigkeit — und sie steht in kaum einem IT-Konzept.
Die Rechnung lässt sich grob aufmachen, ohne betriebswirtschaftliche Spezialkenntnisse. Man nimmt die monatlichen Fixkosten, addiert die Deckungsbeiträge der Aufträge, die im Stillstand nicht abgearbeitet werden, und stellt dem die frei verfügbare Liquidität plus zugesagte Kreditlinien gegenüber. Das Ergebnis ist eine Zahl in Wochen. In den Mittelstandsprojekten, die wir begleitet haben, lag sie regelmäßig zwischen zwei und fünf Wochen — deutlich unter dem, was die Beteiligten vorher geschätzt hatten.
Vergleich: unvorbereiteter vs. vorbereiteter Wiederanlauf
- Erste Stunden: Diskussion über Zuständigkeiten statt Eindämmung; Systeme werden weiter verschlüsselt.
- Backups: Vorhanden, aber nie zurückgespielt — der Zustand ist erst im Ernstfall bekannt.
- Reihenfolge: Wiederherstellung beginnt beim einfachsten System, nicht beim umsatzrelevanten.
- Kommunikation: Kunden erfahren vom Vorfall über die Leak-Seite, nicht vom Lieferanten.
- Erste Stunden: Definierte Eindämmungsschritte, benannte Entscheider, protokollierter Ablauf.
- Backups: Unveränderliche Kopie außerhalb der Domäne, Rückspielzeit aus dem letzten Test bekannt.
- Reihenfolge: Nummerierte Anlaufliste mit Abhängigkeiten, abgestimmt mit den Fachbereichen.
- Kommunikation: Vorbereitete Textbausteine und ein Kanal, der ohne die eigene Mailinfrastruktur funktioniert.
Auffällig ist, dass die rechte Spalte kaum Investitionen enthält. Fast alles darin ist Vorarbeit in Form von Entscheidungen, Listen und einem Testtermin. Die einzige Position mit nennenswerten Kosten ist die unveränderliche Sicherungskopie — und selbst die ist bei den meisten Anbietern eine Konfigurationsoption, keine neue Plattform.
4. RTO und RPO: die zwei Zahlen
Die gesamte Wiederanlaufplanung lässt sich auf zwei Kennzahlen verdichten, die fachlich und nicht technisch festgelegt werden. Die Geschäftsführung entscheidet, die IT baut danach.
RTO — wie lange darf es dauern?
Das RTO beschreibt die maximal tolerierte Zeit bis zur Wiederverfügbarkeit eines Prozesses. Es ist prozessbezogen, nicht systembezogen: Die Auftragsannahme kann ein RTO von vier Stunden haben, während das Archiv zwei Wochen verträgt. Wer für alles dieselbe Zahl ansetzt, baut entweder zu teuer oder zu langsam.
RPO — wie viel Arbeit darf verloren gehen?
Das RPO bemisst den tolerierten Datenverlust als Zeitraum. Eine tägliche Nachtsicherung bedeutet ein RPO von bis zu 24 Stunden — für ein Warenwirtschaftssystem in vielen Betrieben zu viel. Die Antwort ist selten „öfter sichern", sondern häufiger eine andere Sicherungsarchitektur.
Die dritte Größe: Unveränderlichkeit
Angreifer suchen und löschen Backups gezielt, bevor sie verschlüsseln. Ein Immutable Backup lässt sich für einen festgelegten Zeitraum technisch nicht verändern — auch nicht mit administrativen Rechten. Ohne diese Eigenschaft ist jedes RPO theoretisch.
In der Praxis empfehlen wir, die Festlegung nicht mit der IT zu beginnen, sondern mit drei bis fünf Kernprozessen: Auftragsannahme, Produktionssteuerung, Versand, Rechnungsstellung, Lohnbuchhaltung. Für jeden dieser Prozesse benennt die Geschäftsführung RTO und RPO. Erst danach wird technisch geprüft, was das kostet — und in aller Regel stellt sich heraus, dass die teuren Anforderungen nur für ein oder zwei Prozesse wirklich gelten.
5. Der Wiederanlaufplan
Ein Wiederanlaufplan ist kein Sicherheitskonzept. Er beantwortet eine einzige Frage: In welcher Reihenfolge kommt was zurück, und wer entscheidet das? Vier Bestandteile sind unverzichtbar.
Eine nummerierte Liste der Systeme mit Abhängigkeiten. Ohne sie beginnt die Wiederherstellung erfahrungsgemäß beim technisch einfachsten System statt beim wirtschaftlich wichtigsten.
Netzpläne, Zugangsdaten für Notfallkonten, Lieferanten- und Kundenkontakte, Versicherungspolice. Ausgedruckt oder auf einem verschlüsselten Datenträger außerhalb der Domäne — im Vorfall ist das Intranet nicht erreichbar.
Ein zweiter Kanal für Krisenstab, Belegschaft und Schlüsselkunden, der nicht von der eigenen Mailinfrastruktur abhängt. Private Telefonnummern in einer gepflegten Liste genügen, solange sie im Ernstfall auffindbar sind.
Wer darf Systeme vom Netz nehmen, wer spricht mit Behörden, wer mit Kunden, wer beauftragt externe Forensik? Diese Zuständigkeiten im Vorfall zu klären, kostet die wertvollsten Stunden des gesamten Ablaufs.
Experten-Tipp: Der Wiederherstellungstest schlägt jedes Konzept
Nehmen Sie sich einen Nachmittag und stellen Sie ein produktives System aus dem Backup in einer isolierten Umgebung wieder her. Stoppen Sie die Zeit, protokollieren Sie das Ergebnis. In fast allen Projekten, die wir begleitet haben, kam dabei mindestens eine unangenehme Überraschung zutage: fehlende Lizenzschlüssel, eine nicht mitgesicherte Datenbank, ein Konto ohne aktuelles Passwort. Diese Überraschungen möchte man nicht am Tag des Vorfalls erleben.
6. Die ersten 48 Stunden
Der zeitliche Ablauf nach der Entdeckung ist in fast allen Fällen ähnlich. Wer ihn vorher kennt, verliert weniger Zeit mit Grundsatzfragen.
Betroffene Segmente isolieren, Fernzugänge und Site-to-Site-Verbindungen zu Kunden kappen, Backup-Infrastruktur vom Netz trennen. Die Versuchung, zuerst verstehen zu wollen, kostet in dieser Phase Systeme.
Krisenstab einberufen, externe Forensik und Versicherung informieren, Protokolle und Systemabbilder sichern, bevor irgendetwas neu aufgesetzt wird. Ohne diese Sicherung ist später weder die Ursache noch der Umfang belastbar zu klären.
Meldung an die zuständigen Stellen und — je nach Vertrag deutlich früher — an betroffene Kunden. Bei personenbezogenen Daten läuft parallel die 72-Stunden-Frist der DSGVO. Regulierte Kunden brauchen Ihre Angaben für ihre eigene 24-Stunden-Erstmeldung.
Wiederherstellung entlang der priorisierten Reihenfolge in eine bereinigte Umgebung, nicht in die kompromittierte. Parallel Zurücksetzen aller Zugangsdaten und Prüfung auf verbliebene Persistenz. Wer hier abkürzt, wird häufig ein zweites Mal verschlüsselt.
Ein Punkt verdient besondere Erwähnung, weil er in der Hektik regelmäßig untergeht: Die Entscheidung über eine Lösegeldzahlung ist keine IT-Entscheidung. Sie ist eine Geschäftsführungsentscheidung mit rechtlichen, versicherungsrechtlichen und reputationsbezogenen Dimensionen — und sie sollte vorbereitet sein, bevor jemand unter Zeitdruck einen Chat mit Erpressern öffnet.
Ein häufig übersehener Faktor ist die Versicherung. Cyberversicherungen verlangen in ihren Fragebögen inzwischen regelmäßig genau die Nachweise, die auch den Wiederanlauf ermöglichen: Mehrfaktor-Authentifizierung für administrative Zugänge, getrennte Sicherungskopien, dokumentierte Wiederherstellungstests. Wer diese Angaben im Antrag optimistisch ausfüllt und im Schadensfall nicht belegen kann, riskiert Leistungskürzungen — ein Risiko, das sich mit denselben Dokumenten ausräumen lässt, die ohnehin für Kundenaudits gebraucht werden.
Ebenso unterschätzt wird der personelle Engpass. Ein Wiederanlauf über mehrere Tage bindet dieselben zwei oder drei Personen rund um die Uhr, die auch im Normalbetrieb die Systeme kennen. Ohne Vertretungsregelung und ohne externe Unterstützungsvereinbarung endet der Prozess nach 72 Stunden in Erschöpfung — mit entsprechender Fehlerquote. Eine vorab abgeschlossene Rahmenvereinbarung mit einem Dienstleister für Incident Response kostet wenig und verkürzt im Ernstfall die Reaktionszeit erheblich.
7. Sieben Schritte zur Wiederanlauffähigkeit
-
Schritt 1: Kernprozesse benennen
Drei bis fünf Prozesse, ohne die kein Umsatz entsteht. Diese Liste erstellt die Geschäftsführung, nicht die IT — sie ist die Grundlage für alles Weitere und dauert selten länger als eine Stunde.
-
Schritt 2: RTO und RPO je Prozess festlegen
Für jeden Kernprozess eine Zeitangabe für Wiederverfügbarkeit und tolerierten Datenverlust. Bewusst grob: Stunden oder Tage, keine Minuten. Wichtig ist die Entscheidung, nicht ihre Präzision.
-
Schritt 3: Backup-Architektur gegen die Zahlen prüfen
Erfüllt die vorhandene Sicherung die festgelegten Werte — und ist mindestens eine Kopie unveränderlich und außerhalb der Domäne? Diese Prüfung deckt in der Regel die größte Lücke des gesamten Vorhabens auf.
-
Schritt 4: Wiederherstellungstest durchführen
Ein produktives System, eine isolierte Umgebung, gestoppte Zeit, protokolliertes Ergebnis. Der Test ist der Übergang von Konzept zu Fähigkeit und sollte mindestens jährlich wiederholt werden.
-
Schritt 5: Notfallordner offline anlegen
Netzpläne, Notfallkonten, Kontaktlisten, Versicherungsunterlagen, Wiederanlaufreihenfolge. Zwei Exemplare an getrennten Orten, mindestens halbjährlich aktualisiert.
-
Schritt 6: Rollen und Entscheidungsrechte festschreiben
Krisenstab mit Vertretungsregelung, Sprecher gegenüber Kunden und Behörden, Freigabebefugnis für Netztrennung und externe Beauftragung. Eine Seite genügt, solange sie freigegeben und bekannt ist.
-
Schritt 7: Einmal jährlich trockenüben
Zwei Stunden Planspiel mit dem Krisenstab anhand eines konkreten Szenarios. Der Erkenntnisgewinn liegt fast immer in den Schnittstellen — wer wen wann informiert — und nicht in der Technik.
Ein Angriff ist ein Ereignis. Ein Stillstand ist ein Prozess. Nur der zweite lässt sich vorher verkürzen.
Quick-Check: Sind Sie wiederanlauffähig?
Fazit
Die Angriffszahlen im DACH-Raum lassen sich nicht wegoptimieren. Ein Unternehmen kann seine Angriffsfläche verkleinern, Zugänge härten und Personal schulen — die Wahrscheinlichkeit sinkt, sie wird nicht null. Deshalb ist die Verlagerung des Schwerpunkts von Prävention auf Wiederanlauf keine Kapitulation, sondern die realistischere Investitionsentscheidung.
Der Fall des Textilveredlers zeigt, wo die Grenze verläuft. Sechs Wochen Stillstand hat ein produzierender Mittelständler mit normaler Liquiditätsdecke nicht überlebt. Zwei Tage hätte er überlebt. Zwischen diesen beiden Zahlen liegt kein technisches Großprojekt, sondern eine Handvoll Entscheidungen, die vor dem Vorfall getroffen werden: unveränderliche Sicherungen, eine getestete Wiederherstellung, eine priorisierte Reihenfolge und ein Notfallordner, der offline greifbar ist.
Wenn Sie an einer Stelle beginnen möchten, beginnen Sie beim Wiederherstellungstest. Er kostet einen Nachmittag und ist die einzige Maßnahme, die Ihnen ehrlich sagt, wo Sie stehen. Ergänzend lohnt der Blick auf unseren Notfallplan für KMU, der die organisatorische Seite vertieft.
Haben Sie Fragen zur Wiederanlauffähigkeit Ihres Betriebs?
Kostenlose Erstberatung vereinbarenUnsere Expertise vor Ort
Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.
Haben Sie eine Vision?
Lassen Sie uns gemeinsam prüfen, wie wir Ihre Idee zum Fliegen bringen.
Jetzt kostenloses Strategiegespräch buchenErweitertes Fachglossar
Ransomware-as-a-Service
Ein arbeitsteiliges Geschäftsmodell, bei dem eine Gruppe die Schadsoftware und Infrastruktur bereitstellt und Partner die eigentlichen Angriffe durchführen. Es senkt die technische Einstiegshürde und erklärt, warum auch sehr kleine Betriebe zum Ziel werden.
Double Extortion
Eine Erpressungsmethode, bei der Daten vor der Verschlüsselung abgezogen und zusätzlich mit ihrer Veröffentlichung gedroht wird. Ein funktionierendes Backup schützt dann zwar den Betrieb, nicht aber vor dem Datenleck.
RTO
Recovery Time Objective — die maximal tolerierte Zeitspanne, bis ein Prozess oder System nach einem Ausfall wieder verfügbar sein muss. Sie wird fachlich festgelegt, nicht technisch, und bestimmt die Architektur der Wiederherstellung.
RPO
Recovery Point Objective — der maximal tolerierte Datenverlust, gemessen als Zeitraum zwischen letzter nutzbarer Sicherung und Vorfall. Ein RPO von vier Stunden bedeutet, dass bis zu vier Stunden Arbeit verloren gehen dürfen.
Immutable Backup
Eine Sicherung, die für einen festgelegten Zeitraum technisch nicht verändert oder gelöscht werden kann — auch nicht mit administrativen Rechten. Sie ist die wirksamste Einzelmaßnahme gegen Angreifer, die gezielt Backups zerstören.
